CVE-2024-50035

Nome do software vulnerável e versões afetadas:

Versões do kernel Linux anteriores à 6.6.58

Descrição:

Foi corrigida uma vulnerabilidade no kernel do Linux relacionada à função ppp async encode(). O problema ocorre quando pppoe sendmsg() é chamado com tamanho zero, levando a ppp async encode() ser chamado com um skb vazio. Isso resulta em um bug de valor não inicializado. A vulnerabilidade está relacionada às funções ppp async encode() e ppp async push() no arquivo drivers/net/ppp/ppp async.c. A função pppoe sendmsg() também está envolvida no problema.

Recomendações:

Para resolver o problema, atualize o kernel do Linux para a versão 6.6.58 ou posterior.

Como solução temporária, considere desativar a função ppp async encode() até que um patch esteja disponível.

Restrinja o acesso à função pppoe sendmsg() para minimizar o risco de exploração.

Evite usar a função ppp async push() no endpoint da API afetado até que o problema seja resolvido.